ENTREPRISES & STRATÉGIES — Technologies

Solutions

L’année de l’alignement de la sécurité avec le business



Cédric Mauny,   cybersecurity lead chez Proximus Luxembourg (Photo: Maison Moderne)

Cédric Mauny, cybersecurity lead chez Proximus Luxembourg (Photo: Maison Moderne)

Déjà un an que l’étude d’Allianz a montré que le cyber-risque occupe désormais la première place des préoccupations des conseils d’administration des entreprises, ex æquo avec le risque d’interruption de l’activité. La montée en puissance des offres de cyber-assurance en 2020 s’inscrira évidemment dans ce cadre.

Le temps de la sécurité pour la sécurité est définitivement révolu. Comme le sujet est aujourd’hui considéré au sein même des comités de direction, les attentes évoluent et les exigences changent en conséquence. Les investissements de sécurité devront avoir un impact direct sur le business en termes de gains financiers. Il faudra savoir démontrer que les mécanismes de sécurité sont là où ils seront le plus efficaces afin de protéger la réputation de l’entreprise, assurer le respect des exigences légales et réglementaires, ainsi que la continuité des opérations.

Les stratégies de sécurité et de gestion des incidents mettront de côté les objectifs IT pour se focaliser sur les objectifs business. C’est ici la clé pour justifier un accroissement des budgets de sécurité appelés à grandir au fur et à mesure que le scope de la sécurité s’élargit à tous les domaines de l’entreprise.

Le tout couvert d’enjeux régulatoires: la mise en œuvre de la directive NIS et toujours la GDPR, dont les exigences vont continuer à se distiller dans les processus internes des entreprises et dans chaque nouveau projet.

Les enjeux technologiques

Les entreprises devront pouvoir gérer un incident de sécurité, voire une crise, lorsque cet incident perdure. Cela commence par la nécessité d’acquérir les bons réflexes en début et bout de chaîne, à savoir la préparation pour réagir à un incident, mais également la communication, notification, gestion des relations publiques en cas de crise et post-crise qui sont essentielles. Ces deux aspects jouent un rôle primordial en cas d’incident majeur pour préserver la confiance des clients et partenaires tout en limitant les impacts financiers. Avec l’amélioration continue des mécanismes de reprise d’activité s’ajoutent les grandes priorités de l’année à venir:

-La mise en œuvre de démarches plus proactives quant à la chasse aux menaces, de type threat hunting, mécanismes de défense actifs et cyberdeception pour tromper et traquer les attaquants;

-L’accroissement des mécanismes de détection, dont le security operations center fait bien sûr partie, avec l’automatisation et l’orchestration des plans de réponse après détection. Il faudra dépasser ce modèle et mettre en œuvre une surveillance globale de l’ensemble des ressources pour s’assurer que tous les moyens sont utilisés pour détecter les attaques et les incidents;

-Une prévention plus efficace suivant l’adage «mieux vaut prévenir que guérir». Une meilleure identification des risques en amont permettra une gestion et des plans de traitement plus efficaces, mais aussi la formation et la sensibilisation des utilisateurs, partenaires et sous-traitants dans le but de réduire les opportunités des attaquants.

En termes technologiques, les opportunités ouvertes par la 5G, l’IoT et toutes les variations de l’intelligence artificielle autour du big data et du machine learning offriront bien sûr de nouvelles opportunités tant pour les utilisateurs que les défenseurs, mais aussi pour les attaquants. Maintenant que la circulaire cloud de la CSSF est entrée dans les mœurs, l’attente des clients sera grande quant aux mécanismes de sécurité proposés par les partenaires de services managés pour intégrer le cloud public et hybride.

Dans le même temps, les technologies de protection de type zero trust permettront de renforcer la sécurité d’environnements toujours plus connectés et les technologies de sécurité centrées sur l’utilisateur pour une meilleure acceptation.

De leur côté, les attaquants vont évoluer et se professionnaliser. Les attaques de social engineering continueront d’augmenter en parallèle de nouvelles fuites de données, et sera visée la chaîne de sous-traitance pour des impacts potentiellement systémiques.

Les enjeux de la profession

La profession s’organisera pour la reconnaissance de la fonction de chief information security officer, à l’instar du data protection officer.

Les CISO attendent de s’asseoir à la table des conseils d’administration. Ils auront fort à gagner à adapter leur discours et à quitter le champ technique pour aller vers celui du business.

Les enjeux humains

Finalement, l’enjeu principal en ce début de décennie sera de replacer l’humain au cœur du système. La priorité sera à la formation, l’inclusion et le reskilling pour pallier la pénurie des profils et à la sensibilisation comme meilleur outil de prévention des risques.

En résumé, un élément majeur change la donne: l’attention que le top management porte à ce sujet. La décennie qui s’ouvre en 2020 va être passionnante!